34 bösartige Pakete: Hacker stehlen Cloud-Zugänge, Wallets und SSH-Credentials

Technischer Hintergrund

Das npm-Modul ging noch einen Schritt weiter und versuchte, schwache Passwörter in Ethereum-Keystore-Dateien zu knacken sowie Remote-Befehle auf infizierten Maschinen auszuführen. Der Umfang der Diebstähle war so weit gefasst, dass Angreifer Zugriff auf persönliche Konten sowie auf jede von Entwicklern verwaltete Cloud-Infrastruktur erlangten.

Die Infrastruktur hinter TrapDoor wurde absichtlich so konzipiert, dass sie nicht erkannt wird. Anstatt auf unbekannte Domains zurückzugreifen, leiteten die Angreifer die gestohlenen Daten über GitHub Pages, GitHub Gist und webhook.site weiter – Dienste, die Unternehmens-Firewalls routinemäßig erlauben und vertrauen.

Dadurch vermischten sich die exfiltrierten Zugangsdaten mit normal aussehendem Datenverkehr, was es Sicherheitstools erschwert, verdächtige Aktivitäten zu erkennen. Hacker nutzen 34 bösartige Pakete. Die TrapDoor-Kampagne folgte in allen Ökosystemen demselben dreistufigen Muster: Auslösen, Sammeln und Exfiltration.

Jedes Paket wurde als legitimes Entwicklertools

Jedes Paket wurde als legitimes Entwicklertools getarnt. Das Python-Paket git-config-sync startete innerhalb weniger Sekunden nach dem Laden einen bösartigen Thread und nutzte eine zufällige Verzögerung, um Verdacht zu vermeiden.

Das Tool durchsuchte Verzeichnisse wie.ssh,.aws und.ethereum mit sechs Mustermatch-Gruppen, die darauf ausgelegt waren, private Schlüssel, Mnemonic-Phrasen, API-Token und Passwörter zu erfassen.

Das Rust-Paket sui-framework-helpers wurde während der Kompilierung aktiviert, zielte auf Wallet-Dateien von Sui, Aptos und Solana ab und verschlüsselte die gestohlenen Daten anschließend mit einem XOR-Verschlüsselungsverfahren, bevor sie auf einen öffentlichen GitHub Gist hochgeladen wurden.

Technischer Hintergrund

Das npm-Paket token-usage-tracker war von den drei am leistungsfähigsten: Nach der Installation gabelte es einen versteckten Hintergrundprozess und durchsuchte einen breiten Satz von Dateipfaden nach Browser-Zugangsdaten, Cloud-Schlüsseln und Wallet-Informationen. KI-Coding-Assistenten wurden zu Verbreitungswerkzeugen.

Was das npm-Sample auszeichnete, war ein ausgeklügeltes Ausbreitungsmodul, das weit über einen einfachen Diebstahl von Zugangsdaten hinausging.

Nach der Installation hat token-usage-tracker die Dateien.cursorrules und CLAUDE.md in den Projektverzeichnissen des Opfers überschrieben und Anweisungen eingefügt, die KI-Entwicklungswerkzeuge wie Cursor und Claude Code dazu bringen, in zukünftigen Sitzungen bösartige Aktionen auszuführen.

Technik und Auswirkungen

In diese Dateien wurden Null-Breite-Zeichen eingebettet, die für das menschliche Auge unsichtbar sind, jedoch codierte Payloads transportieren, die von KI-Modellen weiterhin interpretiert und ausgeführt werden können. Das Paket injizierte zudem Befehle in Git-Hooks, sodass jeder git pull oder Branch-Switch stumm neuen bösartigen Code herunterlädt.

Shell-Dateien wie.bashrc und.zshrc wurden so verändert, dass sie jede Stunde ein weiteres vom Angreifer gesteuertes Paket, dev-env-bootstrapper, ausführen.

Entwickler, die einen Vorfall vermuten, sollten die betroffenen Pakete entfernen, alle potenziell kompromittierten Zugangsdaten rotieren und die Dateien.cursorrules, CLAUDE.md, Git-Hooks sowie Shell-Dateien von jeglichen Verweisen auf P-2024-001, ddjidd564 oder dev-env-bootstrapper bereinigen.

Technik und Auswirkungen

Sicherheits-Teams sollten zudem TrapDoor-bezogene Indikatoren unverzüglich in ihre CI/CD-Erkennungsregeln aufnehmen. Indikatoren für Kompromittierungen (IoCs): Domain: Indikator: ddjidd564[.]github[.]io; Beschreibung: Von Angreifern kontrolliertes GitHub Pages-Domain, das zur Verteilung von Remote-Konfigurationen genutzt wird.

URL: Indikator: https[:]//ddjidd564[.]github[.]io/defi-security-best-practices/config.json; Beschreibung: Endpunkt für Remote-Konfigurationen, der von Python- und npm-Beispielen gemeinsam zur Abrufung von Webhooks verwendet wird.

URL: Indikator: https[:]//raw[.]githubusercontent[.]com/ddjidd564/defi-security-best-practices/main/config.json; Beschreibung: Rohes GitHub-Spiegelbild der Konfigurationsdatei des Angreifers.

URL: Indikator: https[:]//ddjidd564[.]github[.]io/defi-security-best-practices/priority_targets.json; Beschreibung: Konfigurationsdatei für

URL: Indikator: https[:]//ddjidd564[.]github[.]io/defi-security-best-practices/priority_targets.json; Beschreibung: Konfigurationsdatei für Prioritätsziele, die vom npm-Beispiel genutzt wird.

URL: Indikator: https[:]//raw[.]githubusercontent[.]com/ddjidd564/defi-security-best-practices/gh-pages/scan-bundled.js; Beschreibung: Bösartiges Ausbreitungsskript, das über Git-Hooks injiziert wurde.

URL: Indikator: https[:]//raw[.]githubusercontent[.]com/ddjidd564/defi-security-best-practices/gh-pages/scan.js; Beschreibung: Sekundäres bösartiges Skript, das auf einem von Angreifern kontrollierten GitHub-Repositorium gehostet wird.

Holz als technisches Geruest

URL: Indikator: https[:]//webhook[.]site/2ada14c8-00f6-43ce-9ad6-f5dc15952246; Beschreibung: Endpunkt für die Exfiltration über Webhooks (Ausweichkanal). URL: Indikator: https[:]//webhook[.]site/7513bf3d-7092-4739-bf15-a8f779a75546; Beschreibung: Endpunkt für die Exfiltration über Webhooks (Ausweichkanal).

Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder das Erstellen von Hyperlinks zu verhindern. Fangan Sie diese Adressen nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrer SIEM-Lösung. Tushar ist ein leitender Cybersicherheits- und Datenschutzreporter.

Er konzentriert sich auf die Berichterstattung über Nachrichten, Trends und neu auftretende Bedrohungen im Bereich der Cybersicherheit, einschließlich Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Die GitHub Actions-Funktion von Claude Code ermöglicht Angreifern die Kompromittierung beliebiger Repositories. Die Schwachstelle im TP-Link-Router erlaubt Angreifern die Ausführung beliebiger Systembefehle. Die Android-0-Day-Schwachstelle wird in Angriffen ausgenutzt, um die vollständige Kontrolle über das Gerät zu erlangen.